Onwards

This page is read only. You can view the source, but not change it. Ask your administrator if you think this is wrong.


如此，使用者可確認密碼是否在資料庫中，而 HIBP 站方只知前五碼，無從得知使用者想查的密碼雜湊是哪一筆，兼顧方便與安全，好個聰明做法。 發現這麼用好的服務，我馬上想寫個小工具呼叫 API 快速比對密碼雜湊，讓 SHA1 計算、資料下載、比對全在自家完成，將密碼外流風險降到最低。 為證明檢查程式光明磊落，不會搞出假查詢真偷看的勾當，坦蕩蕩不怕你看，又通吃 Windows/MacOS/Linux 的 PowerShell，是本次開發語言首選。 今年在資料庫方面著墨不多，盤點之下只有年初研究 SQL 索引欄位包含 OR  [[https://antibioticpl.com|anal sex porn videos]] 比對項目對效能的影響、 練習 LINQ 動態組裝 Expression 產生 WHERE 條件，以及遇到經典 「網站執行 Stored Procedure 爆慢，移到 SSMS 跑卻飛快」問題，對 SQL Parameter Sniffing 與執行計劃效能多了一番認識。 要避免自己的密碼在駭客暖身階段被猜中，最好的做法是先確認它沒有出現在 HIBP 資料庫。
近兩年我喜歡用 Minimal API 寫桌面小工具，沿用前端開發技能，省下多學 XAML 的時間。 今年持續投入優化這條路線，加上工作列圖示將 ASP.NET Core 變成 Windows 桌面常駐程式，最後一不做二不休，直接包含 NuGet 套件，讓 ASP.NET Core Minimal API 快速轉桌面常駐小工具。 而歷測過程學到新時代 .NET ThreadPool 程式寫法以及為什麼該改用 async/await，並透過 ASP.NET 網站壓力測試驗證 async/await 效果，是額外收獲。 另一項進展是年底入手了大名鼎鼎的 YubiKey，研究了無密碼登入，對 WebAuthn  與 Passkey 做了一番深入了解，體驗使用手機免密碼登入 Google 帳號，還意外學到 WebAuthn 無密碼登入不等於 Passkey的冷知識。
反觀，一旦程式被編譯成二進位執行檔，局面當場逆轉，連圍觀大嬸都能碎唸上兩句：「唉喲，不知道裡面是不是藏病毒有木馬要偷資料呢？」啃! 另外，今年打了一個副本 - 搞懂 Azure AD (現已更名 Microsoft Entra ID) 與地端 AD 整合。 我學了 安裝 AD FS 服務、設定地端雲端 AD 同步，並練習使用 AD 登入第三方網站。 古蹟維護還是我的重要日常，今年的幾個大心得是做了 WebForm 版 js/css 版本化網址，深入 Cache-Control vs 版本化網址(雜湊指紋參數) 比較，同時新增 網路下載鎖定造成 System.Web.AspNetHostingPermission 安全錯誤經驗，以及補完 ODP.NET 元件註冊 SOP。 另外，寫了程式語言排行、VB/C# 比較，跟資料庫排行的評估心得：滄海桑田一甲子，熱門程式語言演變史、增廣見聞 - 資料庫引擎排行榜前 20 名盤點、閒聊 - C#、VB.NET 之開發者人數、定位與發展策略比較。 標榜 No Code/Less Code 的 RPA 軟體向來不是我的菜，我這麼愛寫程式怎能不自己來，今年多學會微軟 Playwrite，網頁自動化火砲再添一台。 2023 真是充滿驚奇的一年，年初 ChatGPT 橫空而出，在江湖捲起千堆雪，緊接 LK-99 常溫超導體的新聞，有種人類文明居然要在一年內翻轉兩次的錯覺。 不過，隨著時間過去，LK-99 證實是場空歡喜，而我現在則以平常心看待 AI，摸清楚現階段它的限制與能耐，不莫名恐慌也不過度期待，把它想成當年 Google，問市之後每個人都要學，以免落入舉世皆會我獨廢的競爭劣勢。
密碼學相關議題是我今年的研究主軸之一，重要成是學會自製比珍奶還便宜的 USB 實體金鑰，用它結合 GPG 可實現超安全的加解密與數位簽章，還能自己寫 C# 用 USB 實體金鑰加解密。 另外，我還試了在 Windows 安裝 OpenSSH 伺服器，學會從 Windows 使用金鑰免密碼登入 SSH/SFTP/SCP，或用實體金鑰免密碼登入 SSH/SCP/SFTP讓安全更上層樓。 於是乎，2023 年王藍田不意外地用 PowerShell 寫了一堆小工具，防止自己被重複手工煩躁到中風，包含自動補齊離線安裝 NuGet 套件、將複製文字轉為鍵盤輸入、比[[https://www.buzznet.com/?s=%E5%B0%8D%20JSON|對 JSON]] 物件陣列、盤點 IIS 站台設定、設定 IP/Gateway/DNS、更改電腦名稱、列舉傾聽的 TCP Port 與其對應程式、讀取 SQL 執行計劃。 然而，AI 時代寫程式，我愛 Github Copilot 遠勝於 ChatGPT，靠它完成我本來也會寫但現在不必打字就會冒出來的 Code；面對沒寫過不知解法的需求，則是敲註解請 Copilot 露一手，但務必會看懂邏輯，花點時間研究其中沒看過的語法跟沒用過 API 再繼續往後寫。 寫程式這檔事，我覺得人怎麼都得當正駕駛，該走國道還是繞山路由我決定，但全程注意路況控制油門剎車太累，Copliot 你來。
另外，我學到 Have I Been Pwned (HIBP) 外洩密碼查詢平臺有個 API，使用者自己先算好密碼的 SHA1 雜湊，用雜湊前五碼當查詢條件，API 傳回所有前五碼相符的密碼雜湊，以及該筆密碼在資料庫出現次數。 查詢者取回清單自行比對後 35 碼，若找到就代表該筆密碼已被收錄，次數愈高代表愈多人用，認證為菜市場密碼無誤。 使用者可確認密碼是否在資料庫中，而 HIBP 站方只知前五碼，無從得知使用者想查的密碼雜湊是哪一筆，兼顧方便與安全，是個聰明做法。 於是我寫了個 PowerShell 小工具快速檢測密碼是否外洩或被列入已知清單，並找到方法簡單估算不同密碼長度與複雜度所需暴力破解時間。 HIBP 身為資安相關網站，提供 API 時自然不會犯下這類低級錯誤，它想了一個巧妙做法：要使用者自己先算好密碼的 SHA1 雜湊，用雜湊前五碼當查詢條件，API 傳回所有前五碼相符的密碼雜湊，以及該筆密碼在資料庫出現次數。 我寫了迴圈方便反覆輸入密碼查詢，若沒出現在 HIBP 資料庫，則程式會用長度，字元組合複雜度(數字、大小寫、有無符號)簡單推算，如果密碼用 SHA256 保存，駭客買張 NVIDIA RTX 4090 顯卡，要花多久時間可以破解你的密碼。 至於密碼學演算法發展方面，我寫了一篇 資安科普說明為什麼 MD5 不再安全？ ，寫 .NET 程式試玩了 SHA256 密碼雜湊暴力破解，也在單檔 HTML 文件研究中玩了 SHA 密碼雜湊攻防 / 加鹽翻炒版、香草 JavaScript 執行 AES 加解密，算是對 SHA、AES 做了深度體驗。